Die Änderung des Passworts sollte Teil der Wiederherstellung eines kompromittierten Kontos sein. Die Entwickler von Remus Stealer bewerben eine Funktion zum Lesen von Gmail-Nachrichten, die laut ihren Angaben diesen Schritt und sogar den Entzug der Sitzung überstehen kann.
Das ist eine gewagte Behauptung. Im Rahmen der veröffentlichten Untersuchung konnte diese Fähigkeit jedoch nicht nachgewiesen werden. Das Unternehmen Hudson Rock, spezialisiert auf Bedrohungsanalysen, untersuchte das Werbematerial von Remus und befragte sowohl den Entwickler als auch einen angeblichen Kunden. Das Ergebnis ist vorsichtiger als die Werbeaussage: Das Material zeigt zwar eine Benutzeroberfläche zum Lesen von E-Mails, belegt aber nicht, dass Remus neue Nachrichten abrufen kann, nachdem ein Konto umfassend gesichert wurde. Auch eine Zero-Day-Schwachstelle in Gmail konnte nicht nachgewiesen werden.
Was Remus bewirbt
Laut Hudson Rock bewirbt die Ankündigung von Remus Version 1.3.9 eine Funktion, mit der Betreiber kompromittierte Gmail-Postfächer direkt über das Dashboard des Dienstes öffnen können. Die bereitgestellten Screenshots zeigen Nachrichtenlisten, einzelne E-Mails und eine „Mail“-Option, die den Datensätzen kompromittierter Geräte zugeordnet ist.
Die Ankündigung enthält noch einige weitere Behauptungen:
- Betreiber können E-Mail-Bestätigungscodes abfangen, ohne Browser-Cookie-Dateien zu sammeln.
- Änderungen des Passworts und der Widerruf der Sitzung führen nicht zum Verlust des Zugriffs.
- Der Zugriff auf das Postfach kann über Links mit anderen Betreibern geteilt werden.
Auf die Frage nach der Funktionsweise beschrieb der Entwickler die Interaktion mit dem Browserspeicher und erklärte, die Malware werde ausgeführt und beende sich anschließend. Er behauptete außerdem, der Dienst umgehe Googles Betrugsprüfungen, verweigerte jedoch die Angabe der technischen Details, die zur Überprüfung dieser Behauptung notwendig wären.
Denken Sie daran, es handelt sich hierbei um Marketingaussagen des Anbieters einer kriminellen Dienstleistung, nicht um unabhängig verifizierte Ergebnisse.
Was die Beweise zeigen
Hudson Rock sprach mit einer Person, die die Funktion öffentlich befürwortet und deren Nutzung beschrieben hatte. Laut dieser Quelle blieb der Zugriff auf das Postfach auch nach dem Schließen des Browsers, dem Zurücksetzen der Sitzung und der Änderung des Google-Passworts bestehen.
Die Korrespondenz enthält jedoch keine genauen Angaben zu den zurückgesetzten Sitzungen, den betroffenen Kontoeinstellungen oder dem Zeitpunkt der Passwortänderung und des anschließenden Zugriffs. Die Unabhängigkeit der Quelle wurde nicht nachgewiesen, und die Aussagen wurden nicht durch einen kontrollierten Test belegt.
Hudson Rock stellt ausdrücklich klar, dass sein Bericht weder Reverse Engineering der neuen Funktion noch eine kontrollierte Validierung nach der Wiederherstellung beinhaltet.
Datenschutzverletzungen kommen täglich vor. Seien Sie nicht der Letzte, der davon erfährt.
Bleibt der Gmail-Zugang auch nach einer Passwortänderung erhalten?
Ja. Unter bestimmten Voraussetzungen ist ein fortgesetzter Zugriff nach einer Passwortänderung möglich.
Google dokumentiert , dass Passwortänderungen üblicherweise die von Anwendungen mit Gmail-Berechtigungen verwendeten Zugriffs- und Aktualisierungstoken ungültig machen. Diese Token ermöglichen einer Anwendung den Zugriff auf ein Konto, ohne bei jeder Anfrage nach dem Passwort fragen zu müssen. Tokendiebstahl allein beweist daher nicht, dass Remus nach einer Passwortänderung weiterhin Zugriff hat.
Was Gmail-Nutzer tun sollten
Die Unsicherheit bezüglich Remus' Behauptungen ist kein Grund, auf Passwortänderungen zu verzichten. Sie erinnert uns vielmehr daran, dass die Genesung von einer Infostealer-Infektion mehr erfordert als nur die Änderung eines Passworts.
Wenn Sie eine Infektion oder einen unbefugten Zugriff auf Ihr Gmail-Konto vermuten:
- Verwenden Sie ein separates, vertrauenswürdiges Gerät, um das Konto umgehend zu sichern. Trennen Sie das mutmaßlich infizierte Gerät vom Internet und entfernen Sie die Schadsoftware, bevor Sie sich wieder damit anmelden.
- Ändern Sie Ihr Google-Passwort, überprüfen Sie die letzten Sicherheitsereignisse und die angemeldeten Geräte und entfernen Sie unbekannte Zugriffsrechte. Überprüfen Sie außerdem die Anwendungen, die Zugriff auf Ihr Konto haben, sowie die Gerätesitzungen.
- Überprüfen Sie die Gmail-Einstellungen auf unautorisierte Weiterleitungen, Filter, delegierten Postfachzugriff und Änderungen am Fernzugriff auf Ihre E-Mails. Überprüfen Sie auch Ihre Wiederherstellungs-E-Mail-Adresse, Ihre Wiederherstellungs-Telefonnummer und Ihre Verifizierungsmethoden.
- Führen Sie auf dem betroffenen Gerät eine vertrauenswürdige Sicherheitssoftware aus. Google weist darauf hin, dass das Zurücksetzen des Computers und die Neuinstallation des Betriebssystems eine weitere Option bei schädlicher Software darstellt.
- Überprüfen Sie auch andere wichtige Konten, die für die Anmeldung oder Wiederherstellung auf das Postfach angewiesen sind, insbesondere wenn Sie ungewohnte Bestätigungs- oder Passwortzurücksetzungsnachrichten sehen.
Ein Postfach kann als Ausgangspunkt für andere Konten dienen, da es Wiederherstellungslinks und Bestätigungsnachrichten empfängt. Die Screenshots von Remus zeigen jedoch weder eine universelle Umgehung der Multifaktor-Authentifizierung noch die Möglichkeit, E-Mails zu versenden, noch die vollständige Kontrolle über alle mit dieser Adresse verknüpften Konten.
Die von Remus behauptete Persistenz ist weiterhin unbestätigt. Sollten Sie eine Infektion vermuten, sichern Sie Ihr Konto und bereinigen Sie das betroffene Gerät. Echtzeit-Malwareschutz kann helfen, Infektionen durch Infostealer zu verhindern.
Von der Meldung von Bedrohungen bis zu deren Beseitigung.
Cybersicherheitsrisiken sollten niemals über die Schlagzeile hinausgehen. Schützen Sie Ihre Geräte vor Bedrohungen, indem Sie Malwarebytes noch heute herunterladen .
